Arbejder med Directory Tilladelser i et Windows 2000-netværk - dummies

At være administrator inden for et Windows 2000-domæne er ikke længere det samme som at være administrator i en Windows NT-domæne. Først og fremmest giver administratorkodenavnet dig ikke længere status som mindre guddommelig. Du behøver ikke længere at give alle dine netværksledelsesassistenter mulighed for at bringe hele din organisation på knæ med en dårlig tastetryk. I stedet kan du oprette organisationsenheder (OU'er) og delegere administrative muligheder over disse OU'er for at vælge brugere uden at give dem yderligere kontrol eller kapacitet over nogen anden del af domænet.

Microsoft udviklede dette koncept med delegeret myndighed for at hjælpe med at reducere de opgaver, der kræves af en enkeltperson. Sådan gør du det: Opret OU'er over afdelinger og tildel administrationsrettigheder over deres OU'er; Placer derefter afdelingslederne i en OU baseret på sektionsledere og tildeler en sektionsleder administrative rettigheder over den OU; derefter gruppesektionschefer ved divisioner og placere en division manager og så videre. Til sidst overdrager du administrativ kontrol over brugere, grupper, computere, printere, delte mapper og mere til andre, hvilket betyder at du som domæneadministrator kun behøver at genere sig med meget presserende problemer, f.eks. At installere nye domænecontrollere, hvilket skaber tillid eller genopbygge hele netværket efter en brand.

Skønhed er i detaljerne

Adgangskontrollister (ACL'er) var til stede inden for Windows NT-domænet. Som en del af dets egenskaber har hvert objekt en liste over brugere og grupper, der har specifikke adgangsniveauer, der er givet eller nægtet dem. Windows 2000 har taget denne idé og gået ballistisk med den. Nu har hver objekt ikke en master ACL for objektadgang, men hver attribut og egenskab på et objekt har sin egen særskilte ACL. Du kan nu styre på et yderst fint niveau, som kan gøre præcis hvad til hvilke objekter. Du kan tildele en bruger evnen til at ændre telefonnumre på alle brugere i Sales OU, men ikke give den pågældende bruger mulighed for at styre ethvert andet aspekt af disse objekter. Du kan køre dig selv og dine brugere sindssyge med niveauet for detaljeret kontrol, som Windows 2000 tilbyder dig.

Afgivelse af tilladelser

Administrering af tilladelser på Active Directory-objekter ligner administrering af tilladelser til filer, aktier og printere. I stedet for at finde sted i Windows Stifinder, Denne computer eller mappen Printers, finder den sted i værktøjet Active Directory Users and Computers.Indtil nu har du brugt dette værktøj halvblind. Du vidste nok ikke engang, at du havde en kommando til i alt væsentligt at forstærke kapaciteterne i dette værktøj. Hvis du vælger kommandoen Vis -> Avancerede funktioner fra menulinjen, bliver mange andre containere, kommandoer og egenskaber tilgængelige.

Vælg ethvert objekt fra en hvilken som helst container, og åbn dens dialogboksen Egenskaber; vælg derefter fanen Sikkerhed. Du ser en kendt grænseflade, der angiver brugere og grupper, der har tildelt tilladelser til dette objekt, en liste over tilladelser, der er specifikke for denne objekttype, kolonner af Tillad og Afvis afkrydsningsfelter, en Avanceret knap og et afkrydsningsfelt vedrørende arv. Denne grænseflade fungerer nøjagtigt som dem, du ser i styring af filer. Mængden af ​​detaljer, der tilbydes her og via knappen Avanceret (hvor du kan indstille mere detaljerede tilladelser og administrere revision og ejerskab) er mærkværdig. Hvis du er en kontrolfreak, er dette OS det ene til dig!

Delegering af kontrol over OU'er

Delegering af administrativ kontrol over OU'er er vildledende enkel; Følg blot disse trin:

1. På en domænecontroller i Windows 2000 Server skal du klikke på knappen Start og vælge Programmer -> Administrative værktøjer og derefter et af Active Directory-værktøjerne.

2. Udvid containerne for at finde det websted, domæne eller OU, du vil delegere, og vælg det pågældende objekt.

3. Vælg handling -> delegere kontrol.

4. Klik på Næste i guiden Delegation, der vises.

5. Klik på Tilføj.

6. Find og vælg en bruger eller gruppe for at give administratorkontrol til dette objekt, og klik derefter på Tilføj.

7. Gentag trin 5 og 6 for at tilføje andre brugere eller grupper.

8. Klik på OK og derefter på Næste.

9. Vælg omfanget af delegationen til enten denne container og alle objekter i denne beholder, der eksisterer nu og oprettet i fremtiden, eller for at begrænse den til specifikke typer objekter i afkrydsningsfelter. klik på Næste.

Elementerne i denne liste er specifikke for den OU-type, der er valgt tilbage i trin 2.

10. Vælg hvilke tilladelser du vil delegere kontrol over klik på Næste.

Du skal vælge tilladelsesgrupperinger og de enkelte specifikke tilladelser.

Et resumé af delegationen vises.

11. Klik på Afslut.

Det er det. Nu har den angivne OU en ny master. Som en lokal eller domæneadministrator kan du stadig administrere den pågældende OU, men den nyligt definerede delegerede administration kan kaldes til at udføre de overflødige og verdslige opgaver, du har hadet for så længe. Med lidt planlægning og opfindsomhed kan du få dine brugere til at gøre det meste af dit arbejde!